OpenVPN uchun sizga Easy-RSA kerakmi? Bu CA kimga tegishli ekaniga bog'liq

Bir qo'llanma OpenVPN-ni sozlashdan oldin Easy-RSA o'rnatishni aytadi, shuning uchun odamlar ikkalasi bitta paket deb o'ylaydi. Unday emas. Easy-RSA — OpenSSLni boshqaradigan PKI boshqaruv vositasi; OpenVPN esa tunnel. Biri kimga ishonish kerakligini hal qiladi, ikkinchisi paketlarni ko'chiradi.

Muhim taqqoslash qaysi vosita yaxshiroq ekani emas. Tashkilotingizda chiqaruvchi kimga tegishli ekani.

Easy-RSA aslida nima

Loyiha o'zini X.509 PKI boshqaruv vositasi deb ta'riflaydi, kriptografik ishni OpenSSL bajaradi. Bu kalit yaratish, sertifikat so'rovlari, imzolash siyosati va bekor qilishni takrorlanadigan papka tuzilmasiga o'raydi. U mavjud tunnelga shifrlash qatlami qo'shmaydi va RSA ni boshqa malakali vosita yaratgan xuddi shu kalitdan kuchliroq qilmaydi. U qiladigan ish — ish oqimini tekshiriladigan qilish.

Bu haqiqiy foyda, lekin kriptografik emas, operatsion foyda.

Bitta noutbukni ro'yxatdan o'tish jarayonida kuzatib boring

Yangi noutbuk o'z kalitini yaratadi va sertifikat so'rovi yuboradi, shuning uchun maxfiy kalit hech qachon qurilmadan chiqmaydi. So'ngra chiqaruvchi bu so'rovni mijoz roli uchun to'g'ri kengaytmalarni tanlaydigan tur bilan imzolaydi. Easy-RSA da bu ./easyrsa sign-req client laptop-a.

Operator baribir bu odam kirishga loyiq ekanini hal qilishi kerak. Hech bir imzolash vositasi umumiy nomdan huquq chiqarmaydi.

Imzolangan sertifikat qaytadi mos kalitni saqlaydigan qurilmaga, va VPN joylashtirilishi server ishonchi, shaxs tekshiruvlari, tarmoq siyosati va hisob talablarini alohida ta'minlaydi. Chiqaruvchining chiqish papkasidagi fayl bularning hech birini isbotlamaydi. Faqat tugallangan qo'l berib ko'rishish buni qiladi.

Xuddi shu noutbukni chiqishda kuzatib boring

Chiqaruvchi tanlovi haqiqatan ko'rinadigan joy — olib tashlash. Foydalanish mumkin bo'lgan ish oqimi sertifikatni aniqlaydi, bekor qilishni qayd etadi va unga tayanadigan tizimlarga uni rad etish uchun kerakli narsani ishlab chiqaradi. Easy-RSA ajratadi ./easyrsa revoke laptop-a va ./easyrsa gen-crl, va ikkinchi qadam odamlar unutadigan qadamdir. Chiqaruvchida CRL yaratish uni hech bir VPN tekshiruvchisiga yetkazmaydi.

Tarqatish, qayta yuklashdagi xatti-harakat va allaqachon o'rnatilgan sessiyalar bilan nima bo'lishi joylashtirish qarorlari, vosita funksiyalari emas.

Bu bo'shliq — o'rnashgan ish oqimi foydasiga amaliy dalil, tarqoq openssl buyruqlari uyumiga qarshi. Chiqaruvchini yuritishning qiyin qismi birinchi sertifikat emas. Qurilmalar kelib-ketayotganda chiqarish yozuvlari, zaxira nusxalar, yangilanishlar va olib tashlashlarni izchil saqlash.

Chiqaruvchi allaqachon mavjud bo'lganda

Agar tashkilotingiz allaqachon tasdiqlangan sertifikat xizmatini yuritsa, u orqali ro'yxatdan o'ting. Qo'llanmada Easy-RSA buyruqlari bo'lgani uchun ikkinchi CA qurish ishonchni tarqatish ishi, zaxira nusxa ishi va to'g'ri bekor qilinishi kerak bo'lgan yana bir narsani yaratadi.

Mahalliy chiqaruvchi — CA yuritish majburiyati, sozlash qo'llanmasidagi tasdiqlash katagi emas.

Easy-RSA qachon to'g'ri tanlov

Haqiqatan o'z chiqaruvchisiga muhtoj kichik xususiy joylashtirish uchun Easy-RSA har bir operatsiyani qo'lda yig'masdan yo'naltirilgan ish oqimini beradi. asl Easy-RSA qo'llanmasi so'rov, imzolash, bekor qilish va CRL qadamlarini tartib bilan qamrab oladi. CA imzolash materialini uning tayinlangan egasida saqlang; mijozlarga o'z hisob ma'lumotlari va tegishli ommaviy ishonch kerak, hech qachon imzolash kaliti nusxasi emas.

PIN ga asoslangan OpenVPN dizayni ishonchning yana bir qonuniy tartibi, ta'mirlashni kutayotgan buzilgan PKI emas. Va hisobga kirish siz tanlagan qaysi protokol bo'yicha bo'lsa ham serverni autentifikatsiya qilish zaruratini yo'qotmaydi.

Tanlashdan oldin to'rt savolga javob bering: yangi shaxsni kim tasdiqlaydi, uning maxfiy kaliti qayerda yashaydi, sertifikat mijozga qanday yetadi va nafaqaga chiqqan shaxs qanday qilib qabul qilinmay qoladi.